Так как мы уже начали эту тему и рассказали вам про процесс SCA, настало время поговорить о том, как именно тестируется исходный код приложений и сами приложения с точки зрения безопасности. Как и в прошлый раз, это статья для безопасников, которым по каким‑то причинам нужно поддержать разговор про SSDL — безопасную разработку.
Мы продолжаем серию публикаций, посвященную своду знаний по кибербезопасности - Cybersecurity Body of Knowledge (CyBOK). В Главе 2 данного свода знаний объясняются принципы оценки и управления киберрисками, описывается ряд методик оценки рисков и показывается, как и почему эффективное управление киберрисками позволяет обеспечивать кибербезопасность, а также обсуждается важность корректного реагирования на киберинциденты в случае, если реализацию риска не удалось предотвратить. Сегодня – первая часть обзора Главы 2 CyBOK.
В настоящее время одним из главных вызовов в кибербезопасности является дефицит кадров, который во многом сдерживает развитие отрасли. Энтузиасты-самоучки и профессионалы, переходящие в ИБ из смежных профессий (например, из ИТ), зачастую ощущают необходимость подтянуть свои теоретические знания по ИБ. Непрерывно совершенствуемые учебные курсы в ВУЗах, программы профессиональной переподготовки, тренинги и курсы от вендоров и учебных центров предоставляют прекрасную возможность получить структурированные знания по ИБ, однако в большинстве своём они подразумевают либо длительное обучение (во многих случаях - очное), либо дают информацию только по определенному направлению профессии. Состоявшимся специалистам, студентам и энтузиастам, интересующимся темой ИБ, возможно, было бы интересно получить некий справочник-учебник с актуальной информацией по большинству современных направлений ИБ. В рамках образовательных инициатив Security Vision мы начинаем серию публикаций, посвященную своду знаний по кибербезопасности - Cybersecurity Body of Knowledge (CyBOK).
Система обнаружения вторжений (СОВ) является одним из важных звеньев сетевой безопасности в инфраструктуре компании. Они могут встраиваться в комплекс сложных аппаратных устройств, например, в популярные сейчас межсетевые экраны нового поколения (NGFW), а также могут существовать как самостоятельные средства защиты информации (СЗИ).
Современный дизайн, стремящийся к удобству и интуитивности, может стать опасным оружием в руках злоумышленников. Минималистичные интерфейсы, копирующие стиль популярных брендов, вызывают доверие, позволяя обманом получить данные пользователя. Темные паттерны — яркие кнопки «Согласиться» вместо почти невидимых «Отклонить» или ложные таймеры с надписью «Действуйте срочно!» подталкивают к поспешным действиям. А эмоциональные триггеры вроде фейковых уведомлений «Ваш аккаунт будет заблокирован!» отключают критическое мышление.
Цель этой статьи — показать, как киберпреступники используют самые неожиданные и тонкие механизмы для атак, опираясь на привычное поведение пользователей. В статье будут рассмотрены интересные и необычные техники, которые не сразу бросаются в глаза, но способны нанести серьезный ущерб.
Гайнуллина Екатерина, Security Vision
CVE-2024-6387, известная как regreSSHion, представляет собой критическую уязвимость в OpenSSH, затрагивающую серверную часть (sshd) на системах с использованием glibc. Уязвимость была вызвана гонкой данных (race condition) в обработчике сигналов SIGALRM, который используется для обработки таймаутов во время аутентификации. Проблема возникает из-за вызова небезопасных для сигналов функций, таких как syslog() и malloc() в асинхронной среде обработчика сигналов.
И здесь мы в Security Vision можем с уверенностью сказать: наши клиенты могут спать спокойно. Мы тщательно следим за всеми обновлениями, будь то OpenSSH, библиотеки или другие ключевые элементы инфраструктуры. Более того, наши решения активно адаптируются к новым вызовам, обеспечивая надёжную защиту. Ведь безопасность наших клиентов — это не просто наша работа, это наша миссия.
Security Vision
С ростом распространенности искусственного интеллекта (ИИ) и машинного обучения (ML) в бизнесе и промышленности, вопросы безопасности этих технологий становятся все более актуальными. Например, согласно отчету «Яков и Партнеры», всего треть опрошенных компаний в РФ находятся на стадии погружения в область ИИ, 23% уже экспериментируют с этой технологией, а 17% в своих стратегических целях отметили масштабирование показавших себя решений. В отчете McKinsey, для сравнения, говорится, что среди стратегических целей развитие и масштабирование ИИ имеют от 15% до 19% опрошенных компаний.
Современные модели машинного обучения обладают огромным потенциалом, но в то же время они открыты для множества угроз, включая кражу интеллектуальной собственности, атаки на конфиденциальные данные, манипуляции моделями и многое другое. В связи с этим, на рынке появляются специализированные платформы и решения, направленные на защиту ML-систем, особенно заметно это в зарубежном пространстве. В этой статье мы рассмотрим ключевые концепции и решения в области безопасности машинного обучения, а также приведем примеры некоторых продуктов и платформ. Некоторые из мер противодействия угрозам ИИ и видов продуктов безопасности будет возможно реализовать на основе платформы Security Vision, о чем мы более подробно скажем в конце статьи.
Концепции безопасности машинного обучения
Безопасность ML систем – это комплексная задача, требующая применения различных методов и технологий на разных стадиях жизненного цикла модели: от разработки и обучения до эксплуатации и обновления. Разработка делится на такие шаги, как сбор данных, их исследование и изыскание подходящей архитектуры модели, обучение, и валидация модели, а эксплуатация — это автоматизация этих процессов, вкупе с системой мониторинга и оптимизации кода для эффективного потребления ресурсов. Подробнее о практических аспектах практического машинного обучения — тут и тут. А исходная спецификация процесса разработки и внедрения в эксплуатацию ML описана в данной статье.
Максим Анненков, Борис Захир, Security Vision
Введение
В эпоху цифровизации и постоянно растущего количества киберугроз каждая компания стремится понять, сколько она вкладывает в кибербезопасность и какую отдачу это приносит. Кибербезопасность — небесплатное предприятие, и для эффективного управления рисками и оценки отдачи от инвестиций в безопасность требуется грамотный подход.
Один из ключевых аспектов такого подхода — оценка рисков. Это важный инструмент, который помогает понять соотношение затрат на меры защиты со степенью снижения подверженности угрозам, которой можно добиться за счет их внедрения. Оценка рисков может быть как качественной, так и количественной, но самое важное — извлечь из этого процесса полезные выводы, чтобы принять взвешенные и обоснованные решения.
За последнее десятилетие мы убедились, что выполнение вручную процессов расследования и реагирования ограничивает нас по скорости, что сильно сказывается на возможности обрабатывать прирастающий с каждым днем поток инцидентов и угроз. Для того, чтобы помочь в решении складывающейся ситуации специалисты ИБ начинают применять в своей практике новые подходы, такие как Everything as Code (EaC), который зародился на базе практик разработки ПО.
Одна из основных проблематик обнаружения инцидентов, процедур Threat hunting и обнаружения угроз (TI) — высокая гранулярность скриптов и функций, необходимость контроля версий и учета изменений. Поэтому инженеры по информационной безопасности, стремясь повысить эффективность детекта и улучшить качество работы переняли лучшие практики из IT-разработки и назвали этот метод Configuration-as-Code. Давайте разберемся, что он из себя представляет.
Продолжаем наш цикл статей о типах и методах работы сборщиков данных с конечных точек, или, как принято их называть – агентов. В первой статье мы познакомились с этой сущностью и изучили основные нюансы сбора данных с их помощью. Так как мы в рамках разработки своих продуктов занимаемся и лог-менеджментом, и сбором событий, то хочется поделиться продолжением нашей обширной аналитики в quickstart формате. Поэтому в этом выпуске подробнее разберем функционал и используемые инструменты источников на ОС Windows.
Гайнуллина Екатерина, Security Vision
В последние годы значение безопасности API значительно возросло. С увеличением использования API и резким ростом их трафика, поверхность атаки расширилась, что сделало API одной из главных целей для злоумышленников. Согласно отчету Salt Security за 2024 год, число инцидентов безопасности API удвоилось, причем 37% организаций сообщили об атаках. Это тревожный тренд, который подчеркивает необходимость улучшения стратегий защиты.
Как мы здесь оказались
В прошлой статье была затронута тема такого формата взаимодействия для задач, как деловые игры. На самом деле, и у нас, как у компании, и у некоторых наших сотрудников есть своя история и свой опыт в участии и проведении таких игр как для заказчиков, так и внутри.
Введение
Информационная безопасность является одной из ключевых областей в современном мире, где каждый день появляются новые угрозы и вызовы. Студенты, обучающиеся в вузах, получают ценные знания и навыки в области информационной безопасности, однако часто остаются неподготовленными к реальным задачам, с которыми сталкиваются специалисты в данной сфере.
В этой статье мы рассмотрим отличие между навыками, получаемыми после классического обучения в вузе, и навыками, которые реально требуются на практике в сфере информационной безопасности. Будут рассмотрены проблемы и противоречия, с которыми сталкиваются выпускники, а также предложены пути усовершенствования образовательных программ для более эффективной подготовки специалистов к работе в области кибербезопасности.
Данная тема является актуальной и важной, поскольку в сфере информационной безопасности решения принимаются на основе практического опыта и актуальных знаний о современных угрозах, технологиях и методах защиты. Анализ отличий между образованием и практикой в информационной безопасности поможет выявить ключевые аспекты, на которые необходимо обратить внимание при подготовке специалистов в данной области.
Теоретические знания vs Практические навыки
Во-первых, хочется выделить самую распространенную проблему, которая кроется в отсутствии практических навыков у студентов. И это касается не только ИБ направлений, но и многих других образовательных программ. В частности, что касается ИБ, в университете студентов обычно учат основам криптографии, сетевым протоколам и другим базисным вещам. Однако, на практике в информационной безопасности требуются навыки практической реализации защиты информационных систем, умение анализировать уязвимости, проводить тестирование безопасности, реагировать на инциденты, анализировать вредоносное обеспечение и т.д. Поэтому, теоретические знания бесспорно важны, но не менее важно уметь применить теорию на практике. Все ,наверное, согласятся с тем, что никто ещё не научился водить машину или плавать, просто прочтя книгу. Поэтому, правила дорожного движения необходимо изучать всем, но на одной теории далеко не уедешь.
За последнее время внутри компании у нас появилось несколько энтузиастов, заинтересованных в DevSecOps по совершенно разным причинам. Кому‑то задал неудобный вопрос заказчик, кто‑то решил встать на путь саморазвития, а у кого‑то близкий человек — AppSec, и хочется иметь возможность поддерживать разговор о работе.
В этой статье хотелось бы рассказать простым «ИБшным» языком про ядро процесса безопасной разработки для тех, кто сталкивается с этим впервые или что‑то где‑то слышал, но не может увязать это в стройную картину. Потому что на самом деле это максимально близкая вещь к тому, что вы или ваши коллеги уже знаете из своей повседневной работы, даже если ни разу не работали в разработке и не касались исходного кода.
Теперь можно будет попробовать заговорить на одном языке с теми заказчиками, которые, помимо того, что хотят выстроить у себя ИБ‑процессы, являются еще и полноценными разработчиками собственного ПО. Поехали!
Гайнуллина Екатерина, инженер по информационной безопасности отдела развития Security Vision
Контейнеры Docker давно стали неотъемлемой частью современных IT-инфраструктур благодаря своей легкости и гибкости. Однако, несмотря на все их преимущества, они обладают и серьезными недостатками в плане безопасности. Представьте себе контейнер с root-доступом. Это, как если бы у вас была дверь с замком, но ключ от неё подходил бы ко всем замкам в доме.
В предыдущей статье мы рассказывали про методику оценки качества процесса расследования и реагирования. В двух словах: мы рассуждали, каким образом сформировать систему метрик на основе статистики действий аналитиков SOC, которые позволят проанализировать процессы и процедуры security operation. Применение системы метрик позволит, с одной стороны, оптимизировать действия аналитиков за счет исключения лишних действий (возможно, сделав их необязательными), автоматизировать повторяющихся действий, разработать воркэраунды для слишком долгих действий, пополнить плейбуки действиями, которые в них отсутствуют, но в реальности всегда выполняются. С другой стороны, система метрик позволит повысить качество детекта за счет сбора статистики по условиям, при которых правило коррреляции фолзит из раза в раз. И, в конце концов, система метрик может помочь проанализировать утилизацию средств защиты, а также экономическую эффективность подписок на аналитические сервисы и фиды. Каким образом? Давайте разбираться на реальных примерах.
Оптимизация планов реагирования за счет анализа статистики действий по инцидентам
Анализ планов реагирования стоит начать с проверки достижения им цели полноценного анализа ландшафта инцидента. Почему именно с этого? Да потому, что весь security management стремится в первую очередь к максимальной полноте и актуальности контекста: чем чище и корректнее данные, тем вернее будет решение. Поэтому для выстраивания хорошего процесса расследования надо понять:
· Насколько качественно мы анализируем все артефакты, собранные в инциденте.
С ростом популярности контейнеров появилось множество преимуществ. Контейнеры являются основой архитектуры микросервисов, которые позволяют создавать облачные приложения любого размера. Однако из-за своей популярности контейнеры также являются главной мишенью для программ-вымогателей, хакеров и других угроз.
В результате предприятия, которым важна надежная система безопасности, должны иметь возможность решать общие проблемы безопасности контейнеров. Хотя не существует единого способа решения, применение комплексного подхода и использование правильных инструментов может принести большую пользу.
Максим Анненков, инженер-архитектор отдела развития Security Vision
Люди в целом подвержены когнитивным искажениям, то есть искажениям восприятия информации или событий. Например, одним из таких искажений является «подтверждение предвзятости», когда люди склонны искать и интерпретировать информацию таким образом, чтобы она подтверждала их уже существующие убеждения. Другим примером может служить «эффект выбора», когда человек делает выбор в пользу той информации, которая подтверждает его предпочтения, игнорируя другие возможные варианты.
Из-за когнитивных искажений мы можем ставить отдельные компании или даже целые холдинги в зависимость от субъективного восприятия лиц, принимающих решения. Эта проблема существует в каждом аспекте деятельности организации, однако в этой статье мы рассмотрим, насколько она релевантна для области обеспечения информационной безопасности и то, как бумажная безопасность может стать полезным инструментом в борьбе с когнитивными искажениями.
В прошлой статье мы рассматривали геймификацию применительно к ИБ-сфере, с учетом соответствующей специфики. Теперь же хочется обсудить то, что уже в каком-то виде существует во многих компаниях, которые могут относиться не только к ИБ, но все же используют игровые методики в своей работе.
Какие эти игры, для чего их внедряют в работу?
